ROPA Full Form: Record of Processing Activities

ROPA Abkürzung: Was ist ein Verzeichnis von Verarbeitungstätigkeiten?

ROPA steht für Record of Processing Activities. Es ist das interne Dokument, das Organisationen nach Art. 30 DSGVO führen müssen und in dem jede Verarbeitungstätigkeit mit personenbezogenen Daten aufgeführt ist. Das Verzeichnis wird intern geführt; die zuständige Aufsichtsbehörde kann es jederzeit anfordern.

ROPA und verwandte Begriffe

Wer muss ein Verzeichnis führen?

Verantwortliche

Ein Verantwortlicher muss ein Verzeichnis über alle von ihm durchgeführten Verarbeitungstätigkeiten führen (Art. 30 Abs. 1 DSGVO).

Auftragsverarbeiter

Ein Auftragsverarbeiter muss ein Verzeichnis der Kategorien von Verarbeitungen führen, die er im Auftrag von Verantwortlichen durchführt (Art. 30 Abs. 2 DSGVO).

Die Ausnahme für kleine Organisationen

Art. 30 Abs. 5 DSGVO befreit Unternehmen oder Organisationen mit weniger als 250 Mitarbeitern von der Pflicht, aber nur wenn alle drei Bedingungen erfüllt sind:

1. Die Verarbeitung birgt voraussichtlich kein Risiko für die Rechte und Freiheiten der betroffenen Personen.
2. Die Verarbeitung erfolgt nur gelegentlich (wird nicht regelmäßig durchgeführt).
3. Die Verarbeitung umfasst keine besonderen Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO oder Daten über strafrechtliche Verurteilungen nach Art. 10 DSGVO.

In der Praxis verarbeiten fast alle Organisationen regelmäßig Mitarbeiter- und Kundendaten. Damit ist die zweite Bedingung nicht erfüllt, sodass die Ausnahme nicht gilt. Für Organisationen, die zudem Gesundheitsdaten von Mitarbeitern oder Gewerkschaftszugehörigkeit verarbeiten, scheidet auch die dritte Bedingung aus.

Was muss das Verzeichnis eines Verantwortlichen enthalten?

Art. 30 Abs. 1 DSGVO legt die Pflichtangaben für das Verzeichnis eines Verantwortlichen fest:

Der Vorbehalt „soweit möglich" für Löschfristen (Art. 30 Abs. 1 lit. f) und Sicherheitsmaßnahmen (Art. 30 Abs. 1 lit. g) trägt dem Umstand Rechnung, dass diese sich nicht immer in genauen Fristen oder Maßnahmen ausdrücken lassen. Erfassen Sie sie so präzise, wie es die verfügbaren Informationen erlauben.

Was muss das Verzeichnis eines Auftragsverarbeiters enthalten?

Art. 30 Abs. 2 DSGVO legt die Pflichtangaben für das Verzeichnis eines Auftragsverarbeiters fest:

Was gilt als „Verarbeitung"?

Art. 4 Nr. 2 DSGVO definiert Verarbeitung weit. Sie umfasst jeden Vorgang im Zusammenhang mit personenbezogenen Daten, unabhängig davon, ob er automatisiert erfolgt oder nicht, einschließlich:

• Erheben, Erfassen, Organisieren, Ordnen und Speichern
• Anpassen oder Verändern
• Auslesen, Abfragen und Verwenden
• Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung
• Abgleichen oder Verknüpfen
• Einschränken, Löschen oder Vernichten

Jeder dieser Vorgänge mit personenbezogenen Daten ist Verarbeitung und sollte in das Verzeichnis aufgenommen werden.

Wie sollte ein Verzeichnis strukturiert sein?

Ein Verzeichnis ist in der Regel als Register aufgebaut, wobei jede Verarbeitungstätigkeit eine eigene Zeile oder einen eigenen Eintrag erhält. Eine Organisation kann Dutzende von Verarbeitungstätigkeiten haben: HR-Verarbeitung, Kundenverwaltung, Marketing, Website-Analysen, Betrugserkennung und weitere. Jede sollte einen eigenen Eintrag erhalten.

Für jeden Eintrag sind die Pflichtangaben nach Art. 30 DSGVO zu erfassen. Handelt die Organisation sowohl als Verantwortlicher als auch als Auftragsverarbeiter (z. B. verarbeitet sie Daten eigener Beschäftigter als Verantwortlicher und Daten ihrer Kunden als Auftragsverarbeiter), sind die beiden Verzeichnisse getrennt zu führen.

Das Verzeichnis kann als Tabelle, Datenbank oder mit einer speziellen Datenschutzmanagementsoftware geführt werden. Die Form ist nicht vorgeschrieben; es muss jedoch in schriftlicher Form vorliegen, was auch die elektronische Form einschließt (Art. 30 Abs. 3 DSGVO).

Übermittlungen außerhalb des EWR und des Vereinigten Königreichs

Werden personenbezogene Daten in ein Land außerhalb des Europäischen Wirtschaftsraums (EWR) übermittelt, muss das Verzeichnis des Verantwortlichen das Zielland oder die internationale Organisation sowie das genutzte Übermittlungsinstrument angeben: einen Angemessenheitsbeschluss, Standarddatenschutzklauseln (SCC), verbindliche interne Datenschutzvorschriften (BCR) oder eine andere zulässige Ausnahme.

Für das UK GDPR (das seit dem Brexit für im Vereinigten Königreich ansässige Organisationen oder solche, die Daten von Personen in UK verarbeiten, gesondert gilt) gilt dieselbe Pflicht für Übermittlungen außerhalb des Vereinigten Königreichs, unter Verwendung der britischen Äquivalente: UK-Angemessenheitsregelungen, den International Data Transfer Agreement (IDTA) oder den UK Addendum.

ROPA und DSFA

Ein Verzeichnis ist keine Datenschutz-Folgenabschätzung (DSFA). Das Verzeichnis ist ein umfassendes Register aller Verarbeitungstätigkeiten; eine DSFA ist eine eingehendere Risikoprüfung, die vor dem Beginn von Verarbeitungen mit hohem Risiko durchzuführen ist. Das Verzeichnis ist ein nützlicher Ausgangspunkt, um zu ermitteln, welche Tätigkeiten einer DSFA bedürfen: Jeder Eintrag mit umfangreicher Verarbeitung sensibler Daten, systematischer Überwachung oder Profiling mit erheblichen Auswirkungen erfordert voraussichtlich eine DSFA.

Das Verzeichnis aktuell halten

Art. 30 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter, das Verzeichnis der Aufsichtsbehörde auf Anfrage vorzulegen. Das Verzeichnis sollte aktualisiert werden:

• Wenn eine neue Verarbeitungstätigkeit beginnt
• Wenn sich eine bestehende Tätigkeit ändert (neue Datenkategorien, neue Anbieter, neue Zwecke, neue Übermittlungen)
• Wenn ein Anbieter oder System abgekündigt wird
• Regelmäßig im Rahmen einer Routineüberprüfung, mindestens jährlich

Bußgelder bei fehlendem Verzeichnis

Das Fehlen oder Nichtvorlegen eines Verzeichnisses fällt unter den niedrigeren Bußgeldrahmen der DSGVO: bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Aufsichtsbehörden fordern das Verzeichnis bei Untersuchungen regelmäßig an. Ein fehlendes oder unzureichendes Verzeichnis stellt selbst einen Verstoß gegen Art. 30 DSGVO dar, unabhängig von etwaigen weiteren geprüften Verstößen.

ROPA-Anforderungen nach anderen Datenschutzgesetzen

Wie UniConsent Ihr Verzeichnis unterstützt

Für das Tracking auf Websites und in Apps muss das Verzeichnis abbilden, welche Cookies, Tracker und Anbieter aktiv sind und welche Daten sie erfassen. UniConsent bietet dazu folgende Möglichkeiten:

• Der Cookie-Scanner erkennt Cookies, Pixel und SDKs auf Ihrer Website mit Kategorien und Laufzeiten und liefert die für Verzeichniseinträge zu Website-Analysen und Werbung benötigten Daten
• Das Consent-Banner blockiert Tracker ohne Einwilligung, bevor sie ausgeführt werden, sodass die in Ihrem Verzeichnis beschriebenen Datenflüsse mit dem tatsächlichen Geschehen auf der Website übereinstimmen
• Die Anbieterliste zeigt, welche Drittparteien über Ihre Einwilligungslösung Daten erhalten, und deckt damit das Feld „Kategorien von Empfängern" in Ihrem Verzeichnis ab
• Einwilligungsnachweise liefern das Audit-Trail, das die Rechenschaftspflicht neben dem Verzeichnis belegt

Häufig gestellte Fragen

Wofür steht die Abkürzung ROPA?

ROPA steht für Record of Processing Activities. Es ist das nach Art. 30 DSGVO erforderliche Verzeichnis, in dem jede Verarbeitungstätigkeit einer Organisation dokumentiert wird.

Müssen alle Organisationen ein Verzeichnis führen?

Art. 30 Abs. 5 DSGVO sieht eine enge Ausnahme für Organisationen mit weniger als 250 Mitarbeitern vor, die jedoch nur gilt, wenn alle drei Bedingungen erfüllt sind: Die Verarbeitung birgt voraussichtlich kein Risiko für betroffene Personen, erfolgt nur gelegentlich und umfasst weder sensible Daten noch Daten zu strafrechtlichen Verurteilungen. Da die meisten Organisationen regelmäßig Mitarbeiter- oder Kundendaten verarbeiten, greift die Ausnahme selten.

Was ist der Unterschied zwischen einem ROPA und einer DSFA?

Ein ROPA ist ein Register aller Verarbeitungstätigkeiten nach Art. 30 DSGVO. Eine DSFA ist eine eingehendere Risikoprüfung, die nach Art. 35 DSGVO nur für Verarbeitungen mit hohem Risiko erforderlich ist. Das ROPA deckt alle Tätigkeiten ab; die DSFA konzentriert sich auf einzelne Tätigkeiten, die die Hochrisikoschwelle überschreiten.

Wer kann das Verzeichnis anfordern?

Die für Ihre Organisation zuständige Aufsichtsbehörde kann das Verzeichnis jederzeit anfordern. Eine Veröffentlichung ist nicht erforderlich; Sie müssen es der Behörde auf Anfrage zugänglich machen.

Muss das Verzeichnis alle betroffenen Personen erfassen?

Ja. Das Verzeichnis des Verantwortlichen muss für jede Verarbeitungstätigkeit die Kategorien betroffener Personen auflisten, einschließlich Beschäftigter, Kunden, Website-Besucher, Newsletter-Abonnenten und aller weiteren Gruppen, deren personenbezogene Daten verarbeitet werden.

Wie oft muss das Verzeichnis aktualisiert werden?

Immer dann, wenn sich eine Verarbeitungstätigkeit ändert: neue Zwecke, neue Datenkategorien, neue Anbieter, neue Übermittlungen oder das Ende einer Tätigkeit. Mindestens einmal jährlich sollte das gesamte Verzeichnis überprüft werden.

Weiterführende Informationen

• EUR-Lex: Art. 30 DSGVO
• ICO: Documentation and records of processing activities
• CNIL: Le registre des activités de traitement
• UniConsent: Leitfaden zur DSGVO-Konformität
• UniConsent: DPIA Abkürzung
• UniConsent: DPO Abkürzung